Antivmdetection

पृष्ठभूमि

एक स्क्रिप्ट जो आपको टेम्पलेट बनाने में मदद करती है, जिसका उपयोग आप VirtualBox के साथ VM डिटेक्शन को कठिन बनाने के लिए कर सकते हैं।

इस विषय पर मेरा पहला पोस्ट 2012 में था और उसके बाद बेतरतीब समय पर अपडेट किया गया है। ब्लॉग प्रारूप जानकारी प्रकाशित करने का सबसे अच्छा तरीका नहीं रहा होगा और कुछ लोगों ने सामग्री के आधार पर अच्छी और "लागू करने में आसान" स्क्रिप्ट बनाई।

नई सामग्री जोड़ना मेरे लिए आसान बनाने के तरीके के रूप में, मैंने भी ऐसा ही करने का निर्णय लिया है।

इस स्क्रिप्ट का उद्देश्य VirtualBox बेस को संशोधित किए बिना उपलब्ध सेटिंग्स का उपयोग करना है। ऐसे लोग हैं जो Virtualbox को पैच करके वास्तव में अच्छी चीजें करते हैं। लेकिन यह इस स्क्रिप्ट के दायरे से बाहर है। मुझे लगता है कि इस दृष्टिकोण के कुछ गुण हैं क्योंकि यह (उम्मीद है) VirtualBox के हर नए रिलीज़ के साथ नहीं टूटता।

समय के साथ मैंने ऐसी "चीज़ें" भी शामिल की हैं जो सीधे VM से संबंधित नहीं हैं, बल्कि वे चीज़ें हैं जिनका उपयोग मैलवेयर इंस्टॉलेशन को फ़िंगरप्रिंट करने के लिए करता है, मुझे उम्मीद है कि आपको कोई आपत्ति नहीं होगी..

मुख्य स्क्रिप्ट निम्नलिखित फ़ाइलें बनाएगी:

• एक शेल स्क्रिप्ट, जिसे टेम्पलेट के रूप में उपयोग किया जा सकता है, होस्ट OS से उपयोग करने और आप जिस VM को संशोधित करना चाहते हैं उस पर लागू करने के लिए।
• DSDT का एक डंप, जिसका उपयोग उपरोक्त टेम्पलेट स्क्रिप्ट में किया जाता है।
• गेस्ट के अंदर उपयोग करने के लिए एक Windows Powershell फ़ाइल, उन सेटिंग्स को संभालने के लिए जिन्हें होस्ट से बदलना संभव नहीं है। इस स्क्रिप्ट को दो बार चलाना होगा, एक बार उन परिवर्तनों के लिए जिनमें रीबूट की आवश्यकता है और दूसरी बार उन परेशान करने वाली चीज़ों के लिए जो रीबूट पर फिर से उभर आती हैं।

उपयोग

होस्ट से स्क्रिप्ट जनरेट करें

• डिपेंडेंसीज़ इंस्टॉल करें sudo apt install python3-pip libcdio-utils acpica-tools mesa-utils smartmontools
• Python मॉड्यूल इंस्टॉल करें: sudo pip3 install -r requirements.txt
• निम्नलिखित Windows बाइनरी डाउनलोड करें और उन्हें antivmdetection निर्देशिका में निकालें: wget https://download.sysinternals.com/files/VolumeId.zip https://www.nirsoft.net/utils/devmanview-x64.zip (x64 संस्करण)।
• कंप्यूटर और उपयोगकर्ता टेक्स्ट फ़ाइलें बनाएं: hostname > computer.lst, whoami > user.lst। यदि आप VM के लिए अलग-अलग मशीन नाम और उपयोगकर्ता उपयोग करना चाहते हैं तो संशोधित करें (अनुशंसित है कि फ़ाइलों को उपयोगकर्ता और कंप्यूटर नामों की लंबी सूची से भरें)
• Python स्क्रिप्ट को sudo के रूप में चलाएं sudo python3 antivmdetect.py
• जनरेटेड होस्ट स्क्रिप्ट को वर्तमान उपयोगकर्ता से निष्पादन योग्य बनाएं sudo chmod a+x xxxxx.sh
• यदि आपको निम्न संदेश मिलता है: "ACPI tables bigger than 64KB (VERR_TOO_MUCH_DATA)", यह Virtualbox में एक सीमा के कारण है, अधिक संदर्भ के लिए यह केस देखें: https://github.com/nsmfoo/antivmdetection/issues/37। काम करने की पुष्टि नहीं हुई है, लेकिन https://www.tonymacx86.com/dsdt-database एक अच्छा संसाधन हो सकता है...

VM सेटअप करें

• VM बनाएं लेकिन इसे शुरू न करें, साथ ही VirtualBox GUI से बाहर निकलें। शेल स्क्रिप्ट को इंस्टॉलेशन से पहले चलाना होगा!।
• सत्यापित करें कि "I/O APIC" सक्षम है (System > Motherboard टैब)।
• सत्यापित करें कि "Paravirtualization Interface" "None" पर सेट है (System > Acceleration टैब)।
• CPU गणना को 2 या अधिक में बदलें यदि संभव हो।
• VM IP सेट करें (File > Host Network Manager > Configure Adapter Manually > IPV4 adress)।
• स्क्रिप्ट अपेक्षा करती है कि स्टोरेज लेआउट इस प्रकार दिखे: + IDE: Primary master (Disk) और Primary slave (CD-ROM) + * ATA: Port 0 (Disk) और Port 1 (CD-ROM)
• स्क्रिप्ट को वर्तमान उपयोगकर्ता के रूप में चलाएं (क्योंकि VMs वर्तमान उपयोगकर्ता की होम डायरेक्टरी में स्थित हैं): /bin/bash xxxxx.sh my-virtual-machine-name
• Windows ऑपरेटिंग सिस्टम इंस्टॉल करें (W7 और W10 को सपोर्ट करता है)

VM के अंदर से स्क्रिप्ट चलाएं

• बैच स्क्रिप्ट (xxxx.ps1) को नए इंस्टॉल किए गए गेस्ट पर ले जाएं।

• गेस्ट के अंदर बैच स्क्रिप्ट चलाएं। याद रखें कि अधिकांश सेटिंग्स जो संशोधित होती हैं, प्रत्येक रीबूट के बाद वापस हो जाती हैं। इसलिए यदि आवश्यक हो तो इसे बूट पर चलाएं।

• संस्करण 0.1.4 के अनुसार, कुछ लागू की गई सेटिंग्स को रीबूट की आवश्यकता होगी। तो बैच स्क्रिप्ट एक बार चलाएं, गेस्ट रीबूट हो जाएगा। फिर सेटअप को अंतिम रूप देने के लिए स्क्रिप्ट को एक बार फिर चलाएं।

• गेस्ट के अंदर बैच स्क्रिप्ट लागू करने से पहले, कृपया UAC अक्षम करें (रीबूट आवश्यक) अन्यथा आप स्क्रिप्ट के साथ रजिस्ट्री को संशोधित नहीं कर पाएंगे।

• Windows 10 उपयोगकर्ताओं के लिए: PS स्क्रिप्ट को व्यवस्थापक के रूप में चलाएं (cmd.exe पर राइट-क्लिक करें -> व्यवस्थापक के रूप में चलाएं, PS स्क्रिप्ट पर नेविगेट करें और निष्पादित करें)

• यदि सही ढंग से लागू किया गया, तो Pafish चलाने से यह परिणाम मिलेगा (no need to modify Virtualbox).

• कृपया ध्यान दें, कि यह स्क्रिप्ट अन्य चीज़ें भी करती है जो Pafish द्वारा कवर नहीं की गई हैं (उदाहरण के लिए W10 आर्टिफैक्ट्स)

नोट्स

• जब antivmdetect स्क्रिप्ट उपयोग करने के लिए कोई उपयुक्त मान नहीं ढूंढ पाती है, तो यह नवनिर्मित स्क्रिप्ट में इन सेटिंग्स को "#" के साथ कमेंट कर देगा। इन्हें मैन्युअल समीक्षा की आवश्यकता है क्योंकि इनका VM में प्रदर्शित होने वाली चीज़ों पर प्रभाव पड़ सकता है।

संस्करण इतिहास

• 0.1.9:
  Python3 संगत
  सही डिस्क निकालने का पहला प्रयास, कई लोगों के लिए सिरदर्द का स्रोत रहा है। (Issue #35 (और कुछ अन्य पुराने issues), धन्यवाद @oaustin)
  शेल स्क्रिप्ट में स्ट्रिंग हैंडलिंग में सुधार (Issue #35 और #36 और PR #44, धन्यवाद @oaustin, @dashjuvi और @corownik)
  एक ऑनलाइन DSDT संसाधन का लिंक जोड़ा गया (Issue #37, धन्यवाद @MasterCATZ)
  इंस्टॉलेशन निर्देशों को स्पष्ट बनाने के लिए README अपडेट किया गया, धन्यवाद @jorants (issue #38)
  जाँच करें कि DSDT डंप वास्तव में बनाया गया है या नहीं, धन्यवाद @nov3mb3r (Issue: #42)
  लाइसेंस नोटिस जोड़ा गया। धन्यवाद @obilodeau (issue #43)
  कोड सफाई: सर्वर हार्डवेयर तक पहुंच की कमी के कारण RAID डिस्क समर्थन हटाया गया.. और बहुत सारे अन्य छोटे सुधार

• 0.1.8:
  Windows 10 के लिए बेहतर समर्थन
  @bryant1410 से मार्कअप फिक्स मर्ज किया गया (PR #14)
  macOS + VBox/VMWare Fusion का उपयोग करके टेम्पलेट बनाने वाले लोगों के लिए एक समस्या हल की गई।
  वर्चुअल मशीन से टेम्पलेट बनाना वैसे भी सबसे अच्छा तरीका नहीं है .. (issue #12 और संभवतः #15)

• 0.1.7:
  Windows 10 अब समर्थित है (प्रतिक्रिया का स्वागत है)
  W10 इंस्टॉलेशन के लिए कई नए आर्टिफैक्ट "सही" किए गए
  नई निर्भरता: mesa-utils
  @Fullmetal5 से बग फिक्स मर्ज किया गया (#10)
  विविध कोड फिक्स
  README अपडेट किया गया

• 0.1.6:
  दूसरे रन के बाद एक पॉप-अप जोड़ा गया, ताकि यह स्पष्ट हो सके कि आप आगे बढ़ने के लिए तैयार हैं
  एक फ़ंक्शन जोड़ा गया जो notepad के कुछ उदाहरणों को स्पॉन करता है, इस सुविधा को भविष्य के संस्करणों में बढ़ाया जाएगा
  RandomDate फ़ंक्शन को फिर से तैयार किया गया, पुराने फ़ंक्शन की समस्या के बारे में मुझे जागरूक करने के लिए @Antelox का धन्यवाद (#8)
  Ubuntu के पुराने संस्करणों के साथ शिप किया गया Acpidump, "-s" स्विच का समर्थन नहीं करता है। अब इसे एक त्रुटि संदेश के साथ संभाला गया है। इस मुद्दे के लिए @Antelox का धन्यवाद (#7)
  दूसरे रन के बाद Devmanview.exe को हटाया नहीं गया था, ठीक किया गया

• 0.1.5:
  फ़ाइल एक्सटेंशन को संबद्ध और असंबद्ध करने के लिए समर्थन जोड़ा गया (डिफ़ॉल्ट रूप से अक्षम)। संदर्भ: https://www.proofpoint.com/us/threat-insight/post/massive-adgholas-malvertising-campaigns-use-steganography-and-file-whitelisting-to-hide-in-plain-sight
  उपयोगकर्ता द्वारा आपूर्ति किए गए क्लिपबोर्ड बफर के लिए समर्थन जोड़ा गया। यदि मौजूद नहीं है तो एक रैंडम स्ट्रिंग उत्पन्न की जाएगी। अपनी पसंद के Honeytokens से फ़ाइल भरें
  XP समर्थन हटा दिया गया
  बैच स्क्रिप्ट अनुभागों को Powershell में बदल दिया गया। गेस्ट स्क्रिप्ट में अधिक लॉजिक स्थानांतरित किया गया, संक्षेप में टेम्पलेट को बार-बार बनाने/पुनः उत्पन्न करने का कम कारण है, क्योंकि अधिक आइटम गेस्ट पर रैंडमाइज़ किए जाते हैं। एक फ़ंक्शन जोड़ा गया जो डेस्कटॉप बैकग्राउंड इमेज को रैंडमाइज़ करता है एक फ़ंक्शन जोड़ा गया जो गेस्ट पर "सभी" प्रकार के दस्तावेज़ बनाता है एक फ़ंक्शन जोड़ा गया जो गेस्ट पर "सभी" प्रकार के दस्तावेज़ बनाता है और उन्हें रीसायकल बिन में ले जाता है दो और स्थानों पर DigitalProductId को रैंडमाइज़ करना: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Registration\DigitalProductId. HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\DefaultProductKey\DigitalProductId. Paravirtualization Interface: None का उपयोग करें (VBox 5.1.4 के साथ सत्यापित) - इस परिवर्तन को दर्शाने के लिए जाँच अपडेट की गई। मैं मानता हूँ कि VBox में यह बदलाव TiTi87 के कारण हुआ, धन्यवाद!

/मिकाएल

प्रतिक्रिया हमेशा स्वागत योग्य है! =)